Сроки хранения и уничтожение персональных данных: что требует 152-ФЗ

Обязанность уничтожить персональные данные закреплена в двух местах 152-ФЗ. Статья 5 ч. 7 задаёт общий принцип: хранить данные можно не дольше, чем этого требует цель обработки, а по достижении цели или при утрате необходимости в ней данные подлежат уничтожению либо обезличиванию. Статья 21 переводит этот принцип в конкретные сроки и процедуры — она и есть рабочий регламент, по которому оператор действует на практике.

Общий разбор закона — в материале 152-ФЗ о персональных данных простыми словами; здесь — только то, что касается хранения и уничтожения.

На практике уничтожение запускает один из четырёх сценариев:

• Достигнута цель обработки или отпала необходимость её достигать — самое частое основание на практике (ч. 4 ст. 21).
• Субъект отозвал согласие на обработку — если для дальнейшего хранения данных нет другого законного основания (ч. 5 ст. 21). Механика самого отзыва — тема материала-соседа о согласии на обработку персональных данных, здесь — только что происходит с данными после отзыва.
• Выявлена неправомерная обработка — по обращению субъекта, его представителя или Роскомнадзора либо по внутренней проверке оператора (ч. 3 ст. 21).
• Субъект потребовал прекратить обработку отдельно от отзыва согласия (ч. 5.1 ст. 21) — оператор обязан прекратить обработку, а само уничтожение данных наступает по общим основаниям ч. 4 или ч. 6, если после прекращения хранение утратило цель.

Требования к самому уничтожению и хранению обычно закрепляют и во внутренней политике обработки персональных данных оператора — документ не заменяет 152-ФЗ, но должен ему соответствовать.

Статья 21 152-ФЗ называет разные сроки для разных оснований — и путаница между ними одна из самых частых фактических ошибок в материалах о персональных данных. Ниже — сведённая таблица по всем частям статьи.

↔ таблицу можно прокрутить вбок

152-ФЗ не устанавливает конкретных сроков хранения персональных данных — ни в годах, ни в месяцах. Единственное правило — ст. 5 ч. 7: хранить данные можно не дольше, чем этого требует цель обработки. Как только цель достигнута или необходимость в ней отпала, данные подлежат уничтожению либо обезличиванию, если иное не предусмотрено федеральным законом.

Конкретные сроки — «сколько лет хранить кадровое дело» или «сколько хранить бухгалтерскую первичку» — задают не 152-ФЗ, а отраслевые законы: архивное дело, бухучёт, Налоговый кодекс. Подменять эти нормы нормой о персональных данных — типичная ошибка: утверждение вида «152-ФЗ требует хранить резюме кандидата 50 лет» неточно, закон о ПДн такой цифры не содержит.

↔ таблицу можно прокрутить вбок

Способ уничтожения оператор выбирает сам — ни 152-ФЗ, ни Приказ Роскомнадзора не задают единой технологии: для бумажных носителей это обычно измельчение, для электронных — гарантированное удаление записей в информационной системе. Жёсткое требование одно: факт и дата уничтожения должны быть подтверждены документально.

С 1 марта 2023 года требования к такому подтверждению задаёт Приказ Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных» (зарегистрирован в Минюсте России 28.11.2022, № 71167). Документ действует до 1 марта 2029 года.

Что именно фиксировать, зависит от способа обработки:

• Без средств автоматизации (бумага и аналогичные носители) — достаточно акта об уничтожении персональных данных.
• С использованием средств автоматизации (информационные системы) — нужны оба документа: акт об уничтожении и выгрузка из журнала регистрации событий информационной системы, подтверждающая факт удаления записей. Если используемое ПО технически не формирует такую выгрузку в нужном объёме, недостающие сведения дополнительно фиксируются в самом акте.

Единой обязательной формы приказ не вводит — оператор утверждает собственный бланк акта, включающий перечисленные реквизиты. Сам акт (и выгрузка из журнала, если она нужна) хранится 3 года с момента уничтожения данных — то есть подтверждающий документ живёт дольше, чем сами данные, которые он подтверждает.

За нарушение сроков уничтожения по требованию субъекта, его представителя или Роскомнадзора отвечает ст. 13.11 ч. 5 КоАП РФ: штраф для граждан — 2 000–4 000 ₽, для должностных лиц — 8 000–20 000 ₽, для ИП — 20 000–40 000 ₽, для юридических лиц — 50 000–90 000 ₽.

Практика распространяет эту же норму и на просроченное самостоятельное уничтожение по достижении цели без обращения субъекта, и на отсутствие акта по Приказу № 179 — но дословно в тексте КоАП такие случаи отдельно не выделены, это сложившаяся трактовка, а не прямая формулировка закона оценка. Подробный разбор штрафов за нарушения с персональными данными, включая утечки, — в материале о штрафах за утечку персональных данных.

• Хранение «на всякий случай» без основания. Прямо противоречит принципу ст. 5 ч. 7 — хранить данные можно только пока актуальна цель обработки. «Держим резюме кандидатов бессрочно, вдруг пригодится» — нарушение, а не предусмотрительность.
• Отсутствие акта об уничтожении. С 1 марта 2023 года это не «плохая практика», а прямое несоответствие Требованиям Приказа РКН № 179 — при проверке оператор не сможет подтвердить факт и дату уничтожения.
• Уничтожение «из системы» без выгрузки из журнала событий. Для автоматизированной обработки акт без журнала (или журнал без акта) не покрывает требование Приказа № 179 для этого случая.
• Смешение принципа хранения с отраслевыми сроками. 152-ФЗ не задаёт «сколько хранить трудовую книжку» или «сколько хранить резюме» — это отдельные нормы архивного, бухгалтерского и налогового законодательства.
• Данные не уничтожают после отзыва согласия «пока не попросят ещё раз». Обязанность наступает автоматически в течение 30 дней с момента поступления отзыва, повторного напоминания не требуется. Единственная законная причина не уничтожать данные в этот срок — наличие другого основания для их хранения, например действующего договора.
• Путаница «7 дней / 3 дня / 10 дней / 30 дней». Самая частая фактическая ошибка среди материалов о ПДн: срок уточнения данных (ч. 2, 7 рабочих дней) путают со сроком уничтожения при неправомерной обработке (ч. 3, 3 или 10 рабочих дней).
• Данные остаются в резервных копиях. Формальное уничтожение в боевой базе не означает уничтожения в архивах резервного копирования (класс backup) — без отдельного регламента ротации копий данные субъекта фактически продолжают храниться. Найти все места хранения конкретных данных в инфраструктуре, включая теневые копии, помогает класс DCAP.